أصدرت شركات تقنية بارزة مثل Ivanti وFortinet وSAP وVMware وn8n تحديثات أمنية عاجلة لإصلاح ثغرات خطيرة يمكن أن يستغلها المهاجمون لتنفيذ أوامر عن بُعد، حقن SQL، أو تصعيد الامتيازات.
ثغرات Ivanti وFortinet
- Ivanti Xtraction (CVE-2026-8043، CVSS 9.6): تسمح بالتحكم الخارجي في أسماء الملفات، ما يتيح قراءة ملفات حساسة أو كتابة ملفات HTML ضارة تؤدي إلى هجمات من جانب العميل.
- FortiAuthenticator (CVE-2026-44277، CVSS 9.1): خلل في التحكم بالوصول يسمح بتنفيذ أوامر غير مصرح بها عبر طلبات مصممة.
- FortiSandbox (CVE-2026-26083، CVSS 9.1): ثغرة غياب التحقق من الصلاحيات في واجهة الويب، تتيح تنفيذ أوامر غير مصرح بها عبر HTTP.
ثغرات SAP الحرجة
- SAP S/4HANA (CVE-2026-34260، CVSS 9.6): ثغرة حقن SQL تسمح للمهاجمين منخفضي الصلاحيات بحقن أوامر SQL ضارة تكشف بيانات حساسة وتؤثر على توفر التطبيق.
- SAP Commerce Cloud (CVE-2026-34263، CVSS 9.6): غياب التحقق من الهوية في إعدادات التكوين، يسمح برفع ملفات ضارة وتنفيذ أوامر على الخادم.
ثغرة VMware Fusion
- CVE-2026-41702 (CVSS 7.8): ثغرة TOCTOU في عملية ينفذها ملف SETUID، تسمح للمهاجمين المحليين بتصعيد الامتيازات إلى Root. تم إصلاحها في الإصدار 26H1.
ثغرات n8n المتعددة
- CVE-2026-42231 وCVE-2026-42232 (CVSS 9.4): ثغرات في مكتبة xml2js ووحدة XML Node، تسمح بتلوث النموذج (Prototype Pollution) وتنفيذ أوامر عن بُعد.
- CVE-2026-44791 (CVSS 9.4): تجاوز لإصلاح سابق يؤدي إلى تنفيذ أوامر عن بُعد.
- CVE-2026-44789 (CVSS 9.4): ثغرة في معلمة التصفح بوحدة HTTP Request، تسمح بتلوث النموذج وتنفيذ أوامر.
- CVE-2026-44790 (CVSS 9.4): ثغرة في وحدة Git تسمح بحقن أعلام CLI وقراءة ملفات حساسة من الخادم.
تحديثات من شركات أخرى
إلى جانب هذه الثغرات، أصدرت شركات عديدة مثل Adobe وCisco وMicrosoft وGoogle وApple وIntel وHP وLenovo وMozilla وNVIDIA وSamsung وSiemens وZoom تحديثات أمنية لمعالجة ثغرات في منتجاتها، مما يعكس حجم التحديات الأمنية المتزايدة عبر مختلف القطاعات التقنية.
هذه التطورات تؤكد أن الهجمات على سلاسل التوريد والبرمجيات المؤسسية تتصاعد بشكل ملحوظ، وأن تطبيق التحديثات الأمنية بشكل فوري أصبح ضرورة قصوى لحماية الأنظمة من الاستغلال النشط.
